toui allows user-specific variables to be shared between users

高 7.5CVE-2023-33175 · GHSA-hh7j-pg39-q563 · PYSEC-2026-555 · 30/05/2023 公開 · 17/06/2026 更新

要点

CVE-2023-33175 は toui, toui (toui project) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.66%（全脆弱性の 51.7% より高い）。
対処：2.4.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
toui PyPI	`≥ 2.0.1, < 2.4.1`	`2.4.1`
toui toui_project	`≥ 2.0.1, ≤ 2.4.0`	修正版なし

概要

Impact

Websites that use Website.user_vars property in versions.

Patches

It affects versions v2.0.1 to v2.4.0. Please upgrade to v2.4.1

Workarounds

Do not use Website.user_vars in websites when using versions v2.0.1 to v2.4.0. Also, do not use Website.signin_user() in version v2.4.0 only.

Explanation

ToUI is using Flask-Caching (SimpleCache) to store user variables. My misunderstanding was that these caches are stored in the client's browser, but it seems that these are stored in the server side.

NVD の説明

ToUI is a Python package for creating user interfaces (websites and desktop apps) from HTML. ToUI is using Flask-Caching (SimpleCache) to store user variables. Websites that use `Website.user_vars` property. It affects versions 2.0.1 to 2.4.0. This issue has been patched in version 2.4.1.

参考情報

mubarakalmehairbi/ToUI security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2023-33175 · ADVISORY
mubarakalmehairbi/ToUI · PACKAGE
mubarakalmehairbi/ToUI release v2.4.1 · WEB
pypi.org/project/toui · PACKAGE
GitHub Advisory GHSA-hh7j-pg39-q563 · ADVISORY

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

toui

PyPI

≥ 2.0.1, < 2.4.1

2.4.1